トレーニングステップと推測ステップ

トレーニングステップ

Salesforce アプリケーションログに基づくメタデータを使用して、さまざまな属性 (特性ともいう) を抽出します。Salesforce では、レポート生成とその周辺アクティビティに関する 90 日間のメタデータを使用します。モデルの向上に伴い、特性の実際のリストも変化します。

こうした特性を使用して、ユーザの典型的なレポート生成アクティビティのモデルを構築します。このステップをモデルトレーニングといいます。Salesforce ではトレーニングされたモデルを使用して、2 つ目のステップで異常を検知します。

推測 (または検知) ステップ

検知ステップでは、各ユーザのあらゆるレポート生成アクティビティをチェックし、モデルのトレーニングに使用される同じ特性セットを抽出します。そして、特性をユーザの典型的な行動モデルと比較して、検討対象のアクティビティが著しく異なっているかどうかを判断します。

異常スコア

各レポート生成アクティビティがユーザの典型的なアクティビティと比較してどの程度異なっているかに基づいて、各アクティビティに異常スコアの数値が割り当てられます。異常スコアは常に 0 ～ 100 の数値で、大概は百分率で表されます。異常スコアが低いということは、ユーザのレポート生成アクティビティがユーザの典型的なアクティビティと似ているということです。異常スコアが高いということは、ユーザのレポート生成アクティビティがユーザの典型的なアクティビティと異なっているということです。

臨界しきい値

すべてのレポート生成イベントに異常スコアが割り当てられますが、すべての生成イベントが異常なわけではありません。しきい値を使用して、どのレポート生成イベントがユーザの典型的なアクティビティと十分に異なっているかを判断します。異常スコアが臨界しきい値を上回るイベントが異常とみなされます。